Tutoriel : Comment créer un espace de travail sécurisé à l’aide d’un modèle

Les modèles offrent un moyen pratique de créer des déploiements de service reproductibles. Le modèle définit ce qui sera créé, avec certaines informations que vous fournissez lorsque vous utilisez le modèle. Par exemple, en spécifiant un nom unique pour l’espace de travail Azure Machine Learning.

Dans ce didacticiel, vous allez apprendre à utiliser un modèle Microsoft Bicep et Hashicorp Terraform pour créer les ressources Azure suivantes :

• Réseau virtuel Azure. Les ressources suivantes sont sécurisées derrière ce réseau virtuel :
  • Espace de travail Azure Machine Learning
    • Instance de calcul Azure Machine Learning
    • Cluster de calcul Azure Machine Learning
  • Compte Stockage Azure
  • Azure Key Vault
  • Azure Application Insights
  • Azure Container Registry
  • Hôte Azure Bastion
  • Machine virtuelle Azure Machine Learning (Data Science Virtual Machine)
  • Le modèle Bicep crée également un cluster Azure Kubernetes Service et un groupe de ressources distinct pour celui-ci.

Conseil

Microsoft recommande d'utiliser les réseaux virtuels managés par Azure Machine Learning au lieu de suivre les étapes décrites dans cet article. Avec un réseau virtuel managé, Azure Machine Learning gère le travail d’isolement réseau pour votre espace de travail et vos calculs managés. Vous pouvez également ajouter des points de terminaison privés pour les ressources dont l’espace de travail a besoin, par exemple un compte de stockage Azure. Pour plus d’informations, consultez Isolement réseau managé d’espace de travail.

Prérequis

Avant de suivre les étapes décrites dans cet article, vous devez disposer d’un abonnement Azure. Si vous n’avez pas d’abonnement Azure, créez un compte gratuit.

Vous devez également disposer d’une ligne de commande Bash ou Azure PowerShell.

Conseil

Lors de la lecture de cet article, utilisez les onglets de chaque section pour indiquer si vous souhaitez afficher les informations sur l’utilisation de modèles Bicep ou Terraform.

Bicep

1. Pour installer les outils en ligne de commande, consultez Configurer des environnements de développement et de déploiement Bicep.

2. Le modèle Bicep utilisé dans cet article se trouve à l’emplacement https://github.com/Azure/azure-quickstart-templates/blob/master/quickstarts/microsoft.machinelearningservices/machine-learning-end-to-end-secure. Utilisez les commandes suivantes pour cloner le dépôt GitHub dans votre environnement de développement :

   Conseil

   Si vous ne disposez pas de la commande git dans votre environnement de développement, vous pouvez l’installer à partir de https://git-scm.com/.

   git clone https://github.com/Azure/azure-quickstart-templates
   cd azure-quickstart-templates/quickstarts/microsoft.machinelearningservices/machine-learning-end-to-end-secure
   

Terraform

1. Pour installer, configurer et authentifier Terraform auprès de votre abonnement Azure, suivez les étapes décrites dans l’un des articles suivants :

   • Azure Cloud Shell
   • Windows avec Bash
   • Windows avec Azure PowerShell

2. Les fichiers modèles Terraform utilisés dans cet article se trouvent à l’adresse https://github.com/Azure/terraform/tree/master/quickstart/201-machine-learning-moderately-secure. Pour cloner le référentiel localement et modifier le répertoire en l’emplacement où se trouvent les fichiers modèles, utilisez les commandes suivantes à partir de la ligne de commande :

   Conseil

   Si vous ne disposez pas de la commande git dans votre environnement de développement, vous pouvez l’installer à partir de https://git-scm.com/.

   git clone https://github.com/Azure/terraform
   cd terraform/quickstart/201-machine-learning-moderately-secure
   

Compréhension du modèle

Bicep

Le modèle Bicep est constitué des fichiers main.bicep et .bicep fichiers contenus dans le sous-répertoire modules. Le tableau suivant décrit le rôle de chaque fichier :

Fichier	Description
main.bicep	Paramètres et variables. Passage de variables et de paramètres à d’autres modules dans le sous-répertoire modules.
vnet.bicep	Définit le réseau virtuel et les sous-réseaux Azure.
nsg.bicep	Définit les règles de groupe de sécurité réseau pour le réseau virtuel.
bastion.bicep	Définit l’hôte et le sous-réseau Azure Bastion. Azure bastion vous permet d’accéder facilement à une machine virtuelle à l’intérieur du réseau virtuel à l’aide de votre navigateur web.
dsvmjumpbox.bicep	Définit la Data Science Virtual Machine (DSVM). Azure Bastion est utilisé pour accéder à cette machine virtuelle via votre navigateur web.
storage.bicep	Définit le compte stockage Azure que l’espace de travail utilise pour le stockage par défaut.
keyvault.bicep	Définit l’Azure Key Vault que l’espace de travail utilise.
containerregistry.bicep	Définit l’Azure Container Registry que l’espace de travail utilise.
applicationinsights.bicep	Définit l’instance Azure Application Insights que l’espace de travail utilise.
machinelearningnetworking.bicep	Définit les points de terminaison privés et les zones DNS pour l’espace de travail Azure Machine Learning.
Machinelearning.bicep	Définit l’espace de travail Azure Machine Learning.
machinelearningcompute.bicep	Définit un cluster et une instance de calcul Azure Machine Learning.
privateaks.bicep	Définit une instance de cluster Azure Kubernetes Service.

Important

Les exemples de modèles n’utilisent peut-être pas toujours la dernière version d’API pour Azure Machine Learning. Avant d’utiliser le modèle, nous vous recommandons de le modifier afin qu’il utilise les dernières versions d’API. Pour plus d’informations sur les dernières versions d’API pour Azure Machine Learning, consultez API REST Azure Machine Learning.

Chaque service Azure a son propre ensemble de versions d’API. Pour plus d’informations sur l’API d’un service en particulier, consultez les informations du service dans Informations de référence sur les API REST Azure.

Pour mettre à jour la version d’API, recherchez l’entrée Microsoft.MachineLearningServices/<resource> du type de la ressource et mettez-la à jour vers la dernière version. L’exemple suivant est une entrée pour l’espace de travail Azure Machine Learning qui utilise la version d’API 2022-05-01 :

resource machineLearning 'Microsoft.MachineLearningServices/workspaces@2022-05-01' = {

Terraform

Le modèle comprend plusieurs fichiers. Le tableau suivant décrit le rôle de chaque fichier :

Fichier	Description
variables.tf	Variables et valeurs par défaut que le modèle utilise.
main.tf	Spécifie le fournisseur Azure Resource Manager et définit le groupe de ressources.
network.tf	Définit le réseau virtuel, les sous-réseaux et les groupes de sécurité réseau Azure.
bastion.tf	Définit l’hôte Azure Bastion et le groupe de sécurité réseau associé. Azure Bastion vous permet d’accéder facilement à une machine virtuelle à l’intérieur d’un réseau virtuel à l’aide de votre navigateur web.
dsvm.tf	Définit la Data Science Virtual Machine (DSVM). Azure Bastion est utilisé pour accéder à cette machine virtuelle via votre navigateur web.
workspace.tf	Définit l’espace de travail Azure Machine Learning. Inclusion de ressources de dépendance pour Stockage Azure, Key Vault, Application Insights et Container Registry.
compute.tf	Définit une instance de calcul et un cluster Azure Machine Learning.

Conseil

Le fournisseur Azure Terraform prend en charge des arguments supplémentaires qui ne sont pas utilisés dans ce didacticiel. Par exemple, l’argument environment vous permet de cibler des régions cloud telles qu’Azure Government et Microsoft Azure géré par 21Vianet.

Important

La DSVM et Azure Bastion sont utilisés comme un moyen simple de se connecter à l’espace de travail sécurisé pour ce didacticiel. Dans un environnement de production, nous vous recommandons d’utiliser une passerelle VPN Azure ou Azure ExpressRoute pour accéder aux ressources à l’intérieur du réseau virtuel directement à partir de votre réseau local.

Configurer le modèle

Bicep

Pour exécuter le modèle Bicep, utilisez les commandes suivantes à partir de l’emplacement machine-learning-end-to-end-secure où se trouve le fichier main.bicep :

1. Pour créer un groupe de ressources Azure, utilisez la commande suivante. Remplacez exampleRG par le nom de votre groupe de ressources et eastus par la région Azure que vous souhaitez utiliser :

   Azure CLI

   az group create --name exampleRG --location eastus
   

   Azure PowerShell

   New-AzResourceGroup -Name exampleRG -Location eastus
   

2. Pour exécuter le modèle, utilisez la commande suivante. Remplacez le prefix par un préfixe unique. Le préfixe sera utilisé lors de la création de ressources Azure requises pour Azure Machine Learning. Remplacez securepassword par un mot de passe sécurisé pour le serveur de rebond. Le mot de passe est destiné au compte de connexion pour le serveur de rebond (azureadmin dans les exemples ci-dessous) :

   Conseil

   prefix doit comporter 5 caractères ou moins. Il ne peut pas être entièrement numérique ou contenir les caractères suivants : ~ ! @ # $ % ^ & * ( ) = + _ [ ] { } \ | ; : . ' " , < > / ?.

   Azure CLI

   az deployment group create \
       --resource-group exampleRG \
       --template-file main.bicep \
       --parameters \
       prefix=prefix \
       dsvmJumpboxUsername=azureadmin \
       dsvmJumpboxPassword=securepassword
   

   Azure PowerShell

   $dsvmPassword = ConvertTo-SecureString "mysecurepassword" -AsPlainText -Force
   New-AzResourceGroupDeployment -ResourceGroupName exampleRG `
       -TemplateFile ./main.bicep `
       -prefix "prefix" `
       -dsvmJumpboxUsername "azureadmin" `
       -dsvmJumpboxPassword $dsvmPassword
   

   Avertissement

   Vous devriez éviter d’utiliser des chaînes de texte brut dans le script ou à partir de la ligne de commande. Le texte brut peut apparaître dans les journaux des événements et l’historique des commandes. Pour plus d’informations, consultez ConvertTo-SecureString.

Terraform

Pour exécuter le modèle Terraform, utilisez les commandes suivantes à partir du répertoire 201-machine-learning-moderately-secure où se trouvent les fichiers :

1. Pour initialiser le répertoire afin de travailler avec Terraform, utilisez la commande suivante :

   terraform init
   

2. Pour créer une configuration, utilisez la commande suivante. Utilisez le paramètre -var pour définir la valeur des variables que le modèle utilise. Pour obtenir la liste complète des variables, consultez le fichier variables.tf :

   terraform plan \
       -var name=myworkspace \
       -var environment=dev \
       -var location=westus \
       -var dsvm_name=jumpbox \
       -var dsvm_host_password=secure_password \
       -out azureml.tfplan
   

   Une fois cette commande terminée, la configuration s’affiche dans le terminal. Pour l’afficher à nouveau, utilisez la commande terraform show azureml.tfplan.

3. Pour exécuter le modèle et appliquer la configuration enregistrée à votre abonnement Azure, utilisez la commande suivante :

   terraform apply azureml.tfplan
   

   La progression s’affiche à mesure que le modèle est traité.

Se connecter à l’espace de travail

Une fois le modèle terminé, procédez comme suit pour vous connecter à la DSVM :

1. Dans le portail Azure, sélectionnez le groupe de ressources Azure que vous avez utilisé avec le modèle. Ensuite, sélectionnez la Data Science Virtual Machine que le modèle a créée. Si vous éprouvez des difficultés à la trouver, utilisez la section des filtres pour filtrer le Type sur machine virtuelle.

   

2. Dans la section vue d’ensemble de la machine virtuelle, sélectionnez Se connecter, puis Bastion dans la liste déroulante.

   

3. Lorsque vous y êtes invité, entrez le nom d’utilisateur et le mot de passe que vous avez spécifiés lors de la configuration du modèle, puis sélectionnez Se connecter.

   Important

   La première fois que vous vous connectez au bureau DSVM, une fenêtre PowerShell s’ouvre et commence à exécuter un script. Attendez la fin de opération avant de passer à l’étape suivante.

4. À partir du bureau DSVM, démarrez Microsoft Edge, puis entrez https://ml.azure.com comme adresse. Connectez-vous à votre abonnement Azure, puis sélectionnez l’espace de travail créé par le modèle. Le studio de votre espace de travail s’affiche.

Dépannage

Erreur : Le nom d’ordinateur Windows ne peut pas comporter plus de 15 caractères, ni être entièrement constitué de chiffres, ni contenir les caractères suivants

Cette erreur peut se produire lorsque le nom du serveur de rebond DSVM est supérieur à 15 caractères ou inclut l’un des caractères suivants : ~ ! @ # $ % ^ & * ( ) = + _ [ ] { } \ | ; : . ' " , < > / ?.

Lors de l’utilisation du modèle Bicep, le nom du serveur de rebond est généré par programmation à l’aide de la valeur de préfixe fournie au modèle. Pour vous assurer que le nom ne dépasse pas 15 caractères ou ne contient pas de caractères non valides, utilisez un préfixe de 5 caractères ou moins et n’utilisez aucun des caractères suivants dans le préfixe : ~ ! @ # $ % ^ & * ( ) = + _ [ ] { } \ | ; : . ' " , < > / ?.

Lors de l’utilisation du modèle Terraform, le nom du serveur de rebond est passé à l’aide du paramètre dsvm_name. Pour éviter cette erreur, utilisez un nom qui ne dépasse pas 15 caractères et n’utilise aucun des caractères suivants dans le nom : ~ ! @ # $ % ^ & * ( ) = + _ [ ] { } \ | ; : . ' " , < > / ?.

Étapes suivantes

Important

La Data Science Virtual Machine (DSVM) et toutes les ressources d’instance de calcul vous sont facturées pour chaque heure d’exécution. Pour éviter des frais excessifs, vous devez arrêter ces ressources quand elles ne sont pas utilisées. Pour plus d’informations, consultez les articles suivants :

• Créer/gérer des machines virtuelles (Linux)
• Créer/gérer des machines virtuelles (Windows)
• Créer une instance de calcul.

Pour poursuivre l’apprentissage de l’utilisation de l’espace de travail sécurisé à partir de la DSVM, consultez Didacticiel : Azure Machine Learning en un jour.

Pour en savoir plus sur les configurations d’espace de travail sécurisé courantes et les exigences d’entrée/sortie, consultez Flux de trafic d’espace de travail sécurisé Azure Machine Learning.